Фонд PHP официально признал, что нерешительность и нехватка ресурсов привели к задержке исправления критической уязвимости, впервые обнаруженной ещё в 2024 году. Организация назвала эту ситуацию «структурной неудачей».
В среду правительства и компании по всему миру отключили сайты в качестве меры предосторожности, пока фонд PHP не выпустил экстренные патчи для двух связанных критичных уязвимостей. Эти дыры могли позволить злоумышленникам без авторизации выполнять код на заражённых серверах.
PHP — это язык программирования, широко используемый для создания веб-сайтов и приложений, включая системы управления контентом.
В блог-последующем за релизом патчей фонд описал, как разработчики впервые заметили признаки уязвимости в 2024 году, но не могли найти решение, не нарушив работу огромной экосистемы ПО на основе PHP.
«Комбинация отсутствия известного пути к удалённому выполнению кода и небольшой команды ядровых разработчиков с глубокими знаниями движка, занятых множеством обязанностей, привела к многомесячным задержкам и повторным попыткам исправить проблему», — отметил фонд.
«Мы не будем скрывать: задержка стала следствием структурной неудачи, вызванной как процессом принятия решений в команде безопасности, так и нехваткой ресурсов», — добавили они.
Об уязвимости фонд вспомнил снова 11 августа, после того как компании Calif и OpenAI независимо друг от друга сообщили об одной и той же проблеме. Calif продемонстрировала возможность безусловного удалённого выполнения кода, что сделало её приоритетной угрозой для безопасности.
Сайты во всём мире отключились из-за угрозы безопасности PHP
Инцидент привёл к масштабным отключениям: разработчики временно отсоединили сайты, готовясь установить экстренные патчи.
Нидерланды отключили службу цифровой идентификации, а Национальный центр кибербезопасности страны также временно снял свой сайт с онлайн.
В Финляндии государственный IT-провайдер Valtori отключил правительственные веб-сервисы, а во Франции Министерство внутренних дел временно отключило сайты префектур. По данным Reuters, немецкий федеральный IT-провайдер ITZBund также отключил несколько ресурсов.
В Австралии Австралийское управление сигналов (Australian Signals Directorate) подтвердило, что его сайт по кибербезопасности cyber.gov.au также пострадал от проблемы с PHP.
Японский премьер-министр Санаэ Такаити призвала операторов сайтов как можно быстрее установить патч. В своём посте в X она отметила, что временное отключение функций сайтов может снизить риски, если обновление не удастся применить сразу.
Фонд Викимедиа, управляющий Wikipedia, сообщил, что отключил часть вспомогательных сервисов в качестве меры предосторожности, включая Toolforge и Cloud VPS, которые используются волонтёрами для хостинга инструментов и проектов. Из-за этого часть Wikipedia оказалась недоступна в среду.
Компания по безопасности блокчейна SlowMist заявила, что её сервис MistEye выявил использование PHP в криптоиндустрии. Она призвала биржи, DeFi-платформы и провайдеров кошельков проверить свою уязвимость и обновиться. Было идентифицировано 793 домена с прямыми «отпечатками» PHP среди 1 488 проверенных.
Intersect — организация, поддерживающая развитие и управление блокчейном Cardano, — сообщила, что временно отключила раздел Members Area для оценки потенциальных рисков. Страница остаётся недоступной на момент написания.
Главный офицер по безопасности Coinbase Джефф Лунглофер заявил, что компания не нашла следов уязвимых экземпляров PHP.
«Как только мы узнаём об уязвимостях такого рода, мы автоматически проводим полную проверку, чтобы убедиться в безопасности всего. Мы также сотрудничаем с третьими поставщиками для дополнительной уверенности», — сказал он.
Компания BitGo, специализирующаяся на инфраструктуре цифровых активов, также заявила, что её платформа не пострадала от уязвимости PHP.
Сооснователь Binance Чанпэн Чжао предупредил пользователей интернета быть «особенно осторожными» при посещении сайтов в ближайшие дни, так как некоторые администраторы могут не успевать устанавливать критические обновления.
OpenAI выпустила инструмент Codex для проверки версий PHP на уязвимости и идентификации необходимых обновлений. Доступ к нему можно получить через GitHub.
Команда безопасности PHP заявила, что на момент публикации не выявила функциональных эксплойтов.
📋 Краткое резюме
Фонд PHP признал задержку с исправлением критической уязвимости, обнаруженной ещё в 2024 году, назвав её «структурной неудачей» из-за нехватки ресурсов и медленного процесса принятия решений. В результате правительства и крупные компании по всему миру временно отключили сайты для установки экстренных патчей. Угроза затрагивает миллионы ресурсов, построенных на PHP, включая государственные сервисы и проекты криптоиндустрии.
📊 Анализ рынка
Для инвесторов в криптовалюты этот инцидент подчёркивает важность проверки безопасности инфраструктуры бирж, DeFi-платформ и кошельков, особенно если они используют PHP или связанные технологии. Задержки в исправлении уязвимостей могут привести к цепочке атак, что повышает риски для пользователей и репутационных потерь для проектов. В долгосрочной перспективе это может усилить внимание к кибербезопасности в блокчейне, особенно после случаев, когда хакеры эксплуатировали слабые места в инфраструктуре.
💬 Мнение редакции
Ситуация с PHP — яркий пример того, как даже базовые технологии могут становиться источником системных рисков из-за организационных провалов. Криптоиндустрия, где безопасность критически важна, должна внимательнее относиться к выбору и поддержке инфраструктурных решений, избегая зависимости от слабо управляемых экосистем.
📖 Читайте также
📣 Подписывайтесь на наш Telegram-канал, чтобы не пропускать важные новости крипторынка✈ Перейти в Telegram
